"지금도 중국은 암호화된 정보를 수집하고 있습니다. 지금은 해독하지 못해도 나중에 양자컴퓨터로 해독하기 위해 미리 모아두는 겁니다. 이른바 '선 수집, 후 해독'(Harvest Now, Decrypt Later) 전략이죠."
오렌 가바이(Oren Gabay) 이스라엘 양자보안 기업 헤카 시큐리티(HEQA Security) 전략 부문 부사장은 3일 경기 성남시 판교에서 뉴스1과 만나 중국 등이 지금은 해독할 수 없는 암호화 정보까지 수집해 미래에 활용하려 한다고 경고했다.

가바이 부사장은 "중국과 러시아가 데이터를 수집하고 있다"고 주장하며 그 이유에 대해 "지금은 활용하지 못하는 정보라도 향후 암호를 풀 수 있게 되면 '보물'이 될 수 있기 때문"이라고 추정했다.

이른바 '선 수집, 후 해독'은 현재 해독할 수 없는 암호화 데이터를 미리 확보한 뒤 향후 암호를 해독할 기술이 등장하면 그 내용을 확인하는 공격 방식이다.

공격자가 통신 데이터 등을 빼돌리더라도 암호화돼 있다면 당장 내용을 읽을 수는 없다. 그러나 암호화된 상태로 보관하다가 이를 해독할 수 있는 기술이 등장하면 정보가 노출될 수 있다. 기업의 영업기밀이나 국가의 민감한 정보처럼 오랜 기간 가치가 유지되는 데이터일수록 위험이 크다.

가바이 부사장은 이러한 정보 수집이 눈에 띄지 않게 진행될 수 있다는 점을 우려했다.

그는 "정보를 훔쳐 가는 것은 눈에 보이지 않는다. 무슨 일이 터지기 전까지는 모른다"며 "지금 이 순간에도 기밀정보를 훔쳐 보관하고 있을지 모르는데 한국에서는 이에 대한 경각심이 부족하다"고 말했다.

"암호 풀릴 때까지 기다리면 늦어"…韓 보안체계 전환 촉구
가바이 부사장은 한국이 당장 드러난 해킹 사고에는 민감하게 반응하면서도 암호화된 정보를 미리 수집하는 위협에는 충분히 대비하지 못하고 있다고 진단했다.

당장 정보 유출에 따른 피해가 확인되지 않더라도 미래에 암호가 해독될 가능성을 고려해 보안체계를 바꿔야 한다는 것이다.

그는 "우리가 보는 것은 지금의 위협만이 아니라 2~3년 뒤의 위협"이라며 "문제는 보안체계를 바꾸는 데 시간이 걸린다는 점이다. 보호할 준비를 갖추는 데 시간이 걸리기 때문에 지금부터 대비해야 한다"고 말했다.

가바이 부사장은 특히 '큐데이'(Q-Day)에 대비해야 한다고 강조했다. 큐데이는 양자컴퓨터가 RSA 등 기존 공개키 암호체계를 무력화할 수 있는 시점을 뜻한다. RSA는 인터넷 통신과 금융거래 등에 활용되는 대표적인 공개키 암호 알고리즘이다.

그는 "큐데이(Q-Day)는 양자컴퓨터가 RSA 암호체계를 무력화하는 날을 의미한다"며 "최근에는 AI가 양자컴퓨터보다 먼저 RSA 암호를 깰 수 있다는 주장도 나오고 있는데, 양자컴퓨터가 언제 준비될지는 알 수 없지만 AI는 이미 현실에 존재한다"고 말했다.

다만 현재 AI가 널리 사용되는 RSA 암호체계를 실용적인 수준에서 무력화할 수 있다는 사실이 입증된 것은 아니다. 양자컴퓨터가 기존 암호체계를 실제로 무력화할 수 있는 시점도 불확실하다.

가바이 부사장은 한국이 국가 차원에서 양자보안 위협에 대응하기 위한 준비를 하고 있지만, 기업과 기관이 실제로 어떤 위협에 노출돼 있는지 파악하는 데는 부족한 점이 있다고 지적했다.

특히 국산 기술 개발에 치중하다 보안을 강화할 골든타임을 놓칠 수 있다고 우려했다.

그는 "가장 먼저 기존 보안체계의 빈틈을 파악하고 어떤 위협에 노출돼 있는지 분석해야 한다"며 "국산 기술 개발도 중요하지만 이를 기다리다 보안을 강화할 기회를 놓칠 수 있는 만큼 기술 개발과 선제적인 보안체계 구축을 병행해야 한다"고 강조했다.


"데이터센터 간 통신부터 보호해야"…금융·클라우드 표적 우려
가바이 부사장은 향후 해커의 주요 공격 대상으로 금융기관과 데이터센터, 클라우드를 지목했다.

인공지능(AI) 확산으로 방대한 정보가 데이터센터와 클라우드에 집중되면서 공격자들이 한 번에 대량의 민감정보를 확보하려 할 수 있다는 설명이다.

그는 "가장 먼저 보호해야 할 곳은 데이터센터 사이의 연결"이라며 "은행이나 대형 클라우드 사업자의 데이터센터 사이로 민감한 정보가 오가기 때문"이라고 말했다.

특히 데이터센터에 저장된 정보뿐 아니라 데이터센터 사이를 오가는 통신 데이터도 보호해야 한다고 강조했다.

가바이 부사장은 "싱가포르는 중국의 움직임을 주시하며 양자키분배(QKD) 기술을 활용한 통신망 보호를 추진하고 있다"며 "단순히 데이터센터만이 아니라 네트워크에서 전송되는 정보 전체를 보호하는 것이 중요하다"고 말했다.

QKD는 양자역학의 특성을 활용해 통신 과정에서 사용하는 암호키를 안전하게 공유하도록 하는 기술이다. 양자컴퓨터의 발전으로 기존 암호체계가 무력화될 가능성에 대비하는 기술 가운데 하나다.

양자내성암호(PQC)도 대응 수단으로 꼽힌다. PQC는 양자컴퓨터의 공격에도 견딜 수 있도록 설계한 암호 알고리즘으로, 암호키를 공유하는 QKD와는 접근 방식이 다르다.

"내년 韓 진출 본격화…통신 3사 중 2곳 고객 목표"
헤카 시큐리티는 2018년 설립된 이스라엘 양자보안 기업이다. 통신망으로 전송되는 민감한 정보를 보호하기 위해 암호화 시스템에 필요한 암호키를 공급하는 솔루션을 개발한다. 통신사와 금융기관, 정부, 국가 핵심 인프라 운영기관 등이 주요 사업 대상이다.

헤카는 QKD 기술을 개별 통신 구간뿐 아니라 여러 지점이 연결된 네트워크에 적용하는 솔루션을 개발하고 있다.

회사는 연내 국내 인증 절차를 마무리하고 내년부터 한국 사업을 본격화할 계획이다. 현재 주력 제품인 QKD 장비에 대한 국가정보원 보안기능 검증 절차를 밟고 있다.

한국 진출 이후에는 SK텔레콤, KT, LG유플러스 등 국내 통신사업자를 중심으로 사업을 확대할 방침이다. 한국 보안기업의 PQC 기술과 자사 QKD 장비를 결합하는 하이브리드 솔루션도 추진한다.

가바이 부사장은 "한국에는 우수한 PQC 기술을 보유한 기업들이 많다"며 "한국에서 이미 검증된 PQC 기술을 우리 QKD 장비와 결합하면 국내 기업도 성장하고 헤카도 사업을 확대할 수 있는 '윈-윈' 전략이 될 것"이라고 말했다.

국내 QKD 기업과의 협력 가능성도 열어뒀다.

그는 "기존 국내 QKD 장비를 모두 걷어내고 헤카 제품으로 100% 교체하라는 것이 아니다"라며 "서로 협력할 수 있다면 경쟁 관계인 기업과도 기술을 공유하고 함께 사업을 추진할 수 있다"고 설명했다.

가바이 부사장은 "아시아에서는 싱가포르 다음으로 한국이 중요한 시장이 될 것으로 보고 있다"며 "한국 시장에 집중하고 있으며, 국내 통신 3사 가운데 2곳을 고객으로 확보하는 것이 목표"라고 밝혔다.

minju@news1.kr